株式会社ギャザウェイ（以下「当社」）は、公式サイト（susterra.net）で提供するサスラボの会員サービス・お問い合わせ・外部送信と、サスラボの Discord コミュニティの運営について、個人情報を次のとおり取り扱います。
事業者
株式会社ギャザウェイ 〒247-0056 神奈川県鎌倉市大船一丁目12番10号 湘南第5ビル4F 代表者 鈴木龍太郎
取得する情報
- メールアドレス（会員登録・ログイン）
- 会員ID、プラン、会員資格の期間
- 決済に関する情報。カード情報は決済代行の Stripe が取得し、当社では保存しません。当社が保存するのは、Stripe の顧客ID・契約ID・契約の状態・解約予約の有無・お支払い済みの期間・お支払いに失敗した請求書のID、お申し込み画面（Checkout）のIDとURL、Stripe から届いた通知のIDと種類です。
- ログイン状態の管理に必要な Cookie
- お問い合わせフォームに入力された、お名前・会社名・メールアドレス・お問い合わせの内容
- サスラボの Discord コミュニティで扱う情報：Discord の表示名とユーザーID、#入会受付で伝えていただいたプラン名、運営用の bot が残す会員の記録（入会日、退会したかどうか、プラン、創設メンバーかどうか、入会の経路、クラウドファンディングのリターン名と期限日、#自己紹介に書いていただいた内容（お名前・居住地・職業・関心のあるテーマ・スキル・入会の理由）、発言とリアクションの数、最初と最後の発言日、よく発言するチャンネル）
ログインの試行回数の制限は、メールアドレスを変換した値とログインのセッションで行い、IPアドレスは会員のデータベースに保存していません。
利用目的
- 会員登録と本人確認（確認コードのメール）
- 会費の請求と会員資格の管理
- 会員限定記事・アーカイブの提供
- サービスに関するご連絡（認証・決済・解約・規約の変更のお知らせ）
- お問い合わせへの回答
- サスラボの Discord コミュニティの運営（プランに応じた役割の付与、入会・退会の管理、#自己紹介に書いていただいた内容からのプロフィールの項目の取り出し、コミュニティの参加の状況の集計）
広告・宣伝のメールは送りません。
第三者への提供
法令に基づく場合を除き、ご本人の同意なく個人データを第三者に提供しません。
外国にある事業者への委託
当社は、会員サービスの提供のため、次の外国の事業者に個人データの取扱いを委託しています。
Stripe（契約の相手は日本の Stripe Japan, Inc.。処理は米国の Stripe, LLC などが行います）
- 委託する内容
- 会費の決済
- 個人データを取り扱う国
- 米国・インドほか。Stripe はグループ会社と委託先を通じて各国で処理することがあり、すべての国を特定できません
Supabase Pte. Ltd.（シンガポール）
- 委託する内容
- 会員の認証と会員データの保存
- 個人データを取り扱う国
- 日本（東京）
Cloudflare, Inc.（米国）
- 委託する内容
- ウェブサイトと会員サービスの配信・実行、画像の保存、不正な送信の防止
- 個人データを取り扱う国
- 特定できません。Cloudflare との契約（データ処理契約）に、個人データを処理する国の定めがないためです。参考として、Cloudflare は日本の Cloudflare Japan K.K. を含む各国のグループ会社を委託先としています
Plus Five Five, Inc.（Resend・米国）
- 委託する内容
- 確認コードのメールと、お問い合わせの内容のメールの送信
- 個人データを取り扱う国
- 米国
Anthropic, PBC（米国）
- 委託する内容
- Discord コミュニティの #自己紹介 に書いていただいた文から、お名前・居住地・職業・関心のあるテーマ・スキル・入会の理由を取り出すこと
- 個人データを取り扱う国
- 特定できません。Anthropic のデータ処理の取り決めに、個人データを処理する国の定めがないためです。Anthropic は、送った内容を学習に使わず、原則として30日以内に消去するとしています。
各国の個人情報の保護に関する制度は、個人情報保護委員会が公表している資料（米国・シンガポール・インド。いずれも2021年10月時点の調査、2022年1月25日更新）のとおりです。概要：米国には、連邦の包括的な個人情報保護の法令はなく、分野ごとの法令と州法があります。シンガポールには、包括的な法令として個人データ保護法（2012年）があります。インドについては、委員会の資料（2022年時点）では包括的な法令は存在しないとされていますが、2023年8月にデジタル個人データ保護法（Digital Personal Data Protection Act, 2023）が成立しています。
外部送信について
公式サイトのページを開くと、次の情報が、閲覧している端末から外部に送られます。会員の画面（/members）には、下の Cloudflare Web Analytics と Google Fonts は入れていません。
Cloudflare, Inc.（Cloudflare Web Analytics）
- 送る情報
- 開いたページのURL、直前のページのURL（リファラー）、ページの表示にかかった時間などの表示性能の値、ブラウザの種類とバージョン、IPアドレス。Cookie などで閲覧者を識別する情報は使いません
- 目的
- サイトの利用状況と表示の速さを把握するため
- 送るページ
- 公式サイトの各ページ（会員の画面を除く）
Google LLC（Google Fonts）
- 送る情報
- IPアドレス、読み込むフォントのURL、ブラウザとOSの種類・バージョン、表示しているページのURL（リファラー）。Cookie は使いません
- 目的
- ページの文字を表示するフォントを読み込むため
- 送るページ
- 公式サイトの各ページ（会員の画面を除く）
Cloudflare, Inc.（Cloudflare Turnstile）
- 送る情報
- IPアドレス、ブラウザの通信の特徴（TLS の情報）、ブラウザの種類（User-Agent）、送信元のサイトの情報
- 目的
- お問い合わせフォームへの自動送信（ボット）を防ぐため。Cloudflare は、ボットの検知の精度を上げるためにも使います
- 送るページ
- お問い合わせ（/contact）
安全管理のために講じた措置
- 会員のデータベース（Supabase）と決済の管理画面（Stripe）に入れるのは、代表者だけです。
- 運営用の bot が残す会員の記録は、当社の管理する端末に保存し、その一覧（CSV）を出せるのは代表者だけです。Discord の運営用のチャンネル（#運営事務局）には、会員のメンションと投稿へのリンク、人数の集計だけを投稿し、そのチャンネルは運営メンバー（代表者を含む5名）だけが見られます。
- カード情報は決済代行の Stripe が取得し、当社では保存しません。
- 会員のデータベースへの接続は、用途（会員の画面・決済・決済の通知の受け取り・照合の処理）ごとに分けた権限で行い、それぞれ必要な項目だけを読み書きできるようにしています。
- ログインはメールに届く確認コードで行い、パスワードは使いません。確認コードの送信と入力には回数の制限があります。
- ログイン状態の Cookie は、暗号化した通信（HTTPS）でだけ送られ、ページのスクリプトからは読めない設定にしています。当社のデータベースには、ログイン状態の値をそのまま保存せず、変換した値を保存しています。
- 会員限定記事・アーカイブ・記事の画像は、会員資格を確かめてからだけ返します。画像は公開されていない保管場所に置いています。
- Stripe からの通知は、署名を確かめてから受け付けます。
- お問い合わせフォームでは、自動送信を防ぐ仕組み（Cloudflare Turnstile）を使っています。
会員が直接利用する外部のサービス
会員同士の交流には Discord を、アーカイブの視聴には YouTube を使っています。どちらも会員がご自身のアカウントや端末で直接利用するサービスで、利用の際の情報は、それぞれの事業者のプライバシーポリシーに従って扱われます。Discord へは、マイページに表示する招待リンクから会員が自分で参加します。当社から Discord へ会員の情報を渡すことはありません。当社の運営用の bot は、Discord の運営用のチャンネルに、会員のメンションと Discord への投稿へのリンク、人数の集計だけを投稿し、当社が管理する会員の記録（プランや入会の経路など）は投稿しません。
開示・訂正・利用停止などのご相談
保有個人データの開示・訂正・利用停止などのご相談は、公式サイトのお問い合わせフォーム（用件「その他」）で受け付けます。当面、手数料はいただきません。実際に開示などを行う前に、ご本人であることを確認します。確認の方法は、ご相談の内容に応じてご案内します。
苦情・お問い合わせ
個人情報の取扱いに関する苦情やお問い合わせは、公式サイトのお問い合わせフォーム（用件「その他」）で受け付けます。
改定
このポリシーを改定するときは、改定の内容と効力発生日を、効力発生日の2週間前までに、公式サイトとご登録のメールアドレスあてにお知らせします。